Berechtigungsprüfung
Gleiche Berechtigungen
Wie Sie Sicherheitsrichtlinien pflegen und Ihren Benutzern zuordnen, haben wir in Tipp 5, »Sicherheitsrichtlinien für Benutzer definieren«, beschrieben. Sie brauchen für die Umsetzung dieses Tipps eine eigene Sicherheitsrichtlinie für Administratoren, was häufig auch aus anderen Gründen sinnvoll ist. In dieser Sicherheitsrichtlinie setzen Sie dann das Richtlinienattribut SERVER_LOGON_PRIVILEGE auf den Wert 1. Beispielsweise können Sie auch die Einstellung des Richtlinienattributs DISABLE_PASSWORD_LOGON aufnehmen, da für Administratoren häufig auch eine Anmeldung mit Passwort am System möglich sein soll.
Den Systemtrace für Berechtigungen nach und nach für jeden Anwendungsserver auszuführen, ist mühselig. Wir zeigen Ihnen daher, wie Sie Berechtigungsprüfungen auf mehreren Servern gleichzeitig aufzeichnen können. Wenn Sie in einem System mit mehreren Anwendungsservern den Systemtrace für Berechtigungen verwenden möchten, müssen Sie beachten, dass der Trace immer nur Daten je Anwendungsserver protokollieren und auswerten kann. Berechtigungsadministratoren müssen daher bei einem Berechtigungsfehler erst prüfen, auf welchem Anwendungsserver der Anwender mit dem Berechtigungsproblem angemeldet ist, um dann den Trace auf diesem Anwendungsserver zu starten. Wir geben Ihnen hier eine Anleitung zum Aufzeichnen von Berechtigungsprüfungen auf bestimmten Anwendungsservern, zeigen Ihnen aber darüber hinaus auch eine Möglichkeit, um diese Funktion zentral zu nutzen.
Aktuelle Situation prüfen
Bei der Einplanung eines Jobs kann ein anderer Benutzer als ausführender Benutzer hinterlegt werden. Somit werden die einzelnen Verarbeitungsschritte des Jobs technisch durch den hinterlegten Benutzer mit seinen Berechtigungen durchgeführt. Es könnten also Aktivitäten angestoßen werden, die mit den eigenen Berechtigungen nicht ausführbar wären.
Initialpasswörter bei Standardbenutzern sind extrem riskant, da diese veröffentlicht sind. Sorgen Sie dafür, dass diese Sicherheitslücke in Ihrer Systemlandschaft nicht existiert. Ein SAP-System wird immer mit bestimmten Standardbenutzern ausgeliefert bzw. diese werden z. B. für das Transportmanagementsystem automatisch eingerichtet. Diese Standardbenutzer verwenden Initialpasswörter, die hinlänglich bekannt sind. Schließen Sie diese Sicherheitslücke, indem Sie die Passwörter ändern und die Standardbenutzer gegen unbefugte Benutzung absichern. Wir zeigen Ihnen in diesem Tipp, wie Sie den Status der Passwörter Ihrer Standardbenutzer klären können und geben Ihnen Empfehlungen zu den Einstellungen Ihrer Profilparameter.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Die oft geforderte Redundanzfreiheit sollten Sie nicht zu hoch bewerten.
Durch den Einsatz von Referenzbenutzern entstehen allerdings auch Risiken.